Triage d'alertes

Définition

Le triage d'alertes est le processus par lequel les analystes d'un centre opérationnel de sécurité, ou SOC, examinent et priorisent les alertes générées par les outils de détection afin de déterminer lesquelles nécessitent une investigation approfondie. Face au volume important d'événements remontés par les SIEM, EDR et autres sondes de sécurité, le triage constitue la première ligne de filtrage permettant de distinguer les vrais positifs des faux positifs et d'évaluer rapidement la sévérité et l'urgence de chaque alerte. Cette étape s'appuie sur des critères tels que la criticité de l'actif concerné, le contexte utilisateur, la corrélation avec d'autres événements, et l'enrichissement par des sources de renseignement sur la menace, permettant de vérifier si une adresse IP ou un hachage de fichier est déjà connu comme malveillant. Les analystes de niveau 1 assurent généralement le triage initial en s'appuyant sur des playbooks définissant les critères de qualification, avant d'escalader les alertes confirmées vers des analystes de niveau 2 pour une investigation approfondie. L'efficacité du triage repose fortement sur la qualité des règles de corrélation, l'enrichissement automatisé des alertes et, de plus en plus, sur des capacités d'automatisation via des plateformes SOAR ou des modèles d'intelligence artificielle. Un triage inefficace ou trop lent contribue directement à la fatigue d'alertes et augmente le risque de passer à côté d'un incident réel.